GXP21xx 電話機が自前の OpenVPN トンネルを構築する仕組み

オフィスの VPN に接続するデスクフォンは、独自のファームウェア、独自の ID、独自の復旧経路を持つ管理対象エンドポイントです。組み込みクライアントは画面の小さい OpenVPN のデスクトップ導入ではなく、そう扱うことこそが、誰も承認していない共有鍵とポリシーを電話機に持たせてしまう原因です。電話機とゲートウェイの間で実際に起きていることは次のとおりです。

起動時に電話機が読み込むもの

何かを準備する前に、端末でシステム情報を確認してください。GXP21xx の管理者ガイドはプログラムバージョンを主要ファームウェアリリースとして示し、OpenVPN サポート状態のフィールドを公開しているので、手持ちのビルドがその機能をそもそも謳っているかが分かります。

次にガイドは二つの設定モードを説明します。シンプルモードではサーバーアドレス、ポート、トランスポート、アップロードした証明書素材という個別のフィールドを入力します。エキスパートモードでは設定用の ZIP を受け取ります。同じクライアントへの二つの異なる読み込み経路であり、バンドルの形式は中身と同じくらい重要です。

任意のデスクトップ .ovpn ファイルを ZIP に入れても互換性は生まれません。電話機はファームウェアが期待する形式を解析するため、ノート PC で動くファイルがここでは黙って無視されることがあります。

クライアントが表現すべきもの

まずゲートウェイの運用者から、エンドポイント、トランスポート、ピア検証、認証、必要なアルゴリズム、そして電話機が到達してよいプライベートリソースというプロファイル要件を取得します。そのうえで、組み込み実装がその契約を表現できるかを確認します。

この順序が重要なのは、そうしなければ一台の電話機のために共有ゲートウェイを変えることになるからです。電話機のために行う緩和は、そのエンドポイント上の他のすべてのクライアントに適用されますが、通話を行う端末にとってそれは割の悪い取引です。

ビルドがポリシーを満たせないという答えなら、正直な選択肢はサポート対象のファームウェアか端末、あるいは音声エンドポイント向けに承認されたゲートウェイ構成です。トンネルを弱めることはそのどれでもありません。

圧縮と旧来のレシピ

小型端末向けの古いレシピは、帯域を節約するために圧縮を有効にすることがよくあります。OpenVPN 2.6 は圧縮を非推奨とし、一般に推奨していないため、そうしたレシピからコピーした設定は現在のセキュリティ承認ではなく、フォーラム投稿が書かれた年には関係ありません。

同じことは ID 検証にも当てはまります。ピア検証を無効にした状態でしか接続しないプロファイルは、検証ではなくプロファイルが問題です。端末に検証を飛ばすことを教えるのではなく、信頼の素材を修正してください。

一台の端末に一つの ID

三つの素材には三つの役割があります。CA の信頼証明書は電話機が発行者を検証することを可能にします。電話機の証明書はこの端末を識別します。電話機の秘密鍵は機密性の高い端末素材であり、端末上にとどまります。

CA の署名鍵が電話機に置かれることは決してありません。管理者のノート PC プロファイルを全台にコピーするのも同様で、それは一台の盗難端末を全端末の資格情報に変えてしまいます。

ガイドはクライアント鍵のパスワードと、任意の VPN ユーザー名・パスワードのフィールドも公開しています。これらは自動的に SIP 拡張の資格情報ではありません。無人再起動後に必要な入力をどう取得するかを含め、この端末の認証方式を決めてください。

素材は保護されたプロビジョニング手順で配布し、端末、発行した ID、廃止の責任者を記録します。端末を交換するとき、その記録が五分の交換と丸半日の推測の差になります。

管理経路を確保する

トンネルを有効にする前に、電話機の Web インターフェースまたはプロビジョニング経路にまだ到達できることを確認してください。端末はそもそも VPN エンドポイントに到達するために通常のネットワークアクセスを必要とし、その管理経路が登録の途中で消えてはなりません。

登録中に経路変更で締め出された場合、復旧は通常、工場出荷状態へのリセットと手順全体のやり直しです。そうならないように、プロビジョニングし、到達性を検証し、その後にトンネルを有効にする順序で計画してください。

受けるのは通話であり、トンネルではない

SIP アカウントは別の設定のままです。GXP21xx のガイドは OpenVPN の導入をアカウントの VPN NAT トラバーサル設定に誘導しているため、インストール済みファームウェアと PBX 設計についてはその指針を確認し、どの所有者が必要とするかを知らないまま STUN、プロキシ、VPN の変更を組み合わせるべきではありません。

次に、意図した PBX 名とプライベート経路を確認し、SIP 登録を確認し、双方向で音声を確認した承認済みの着信と発信を行います。登録表示は動作する電話機ではないため、導入が実際に必要とする通話機能をテストしてください。

最後に、制御されたコールドスタートから、またネットワーク断の後に繰り返します。電話機がトンネル、アカウント、利用可能な通話を意図した順序で復元するかを観察し、トンネルが接続できないときに宣言された動作を確認します。GXP21xx 管理者ガイドが、上記の各フィールドの参照資料です。